Microsoft Sentinel-komponenter och -mönster

I den här artikeln beskrivs de olika komponenterna i en Microsoft Sentinel-lösning och hur de kan arbeta tillsammans för att hantera viktiga kundscenarier.

Sentinel-plattformen innehåller en datasjö, graf, Jupyter-jobb, en MCP-server (modellkontextprotokoll) och data från mer än 300 Sentinel-anslutningar som hjälper kunderna att centralisera och analysera sina säkerhetsdata på ett kostnadseffektivt sätt. Dessa funktioner plus Microsoft Security Copilot gör det möjligt för kunder och partner att skapa effektfulla lösningar som kan publiceras via Microsoft Security Store.

Sentinel SIEM används av SOC-team (Security Operations) för att generera identifieringar, undersöka skadligt beteende och åtgärda hot. Genom att skapa Sentinel-anslutningsappar för att hämta nya data, och genom att skapa innehåll som analysregler, spelböcker, jaktfrågor, parsare och arbetsböcker, kan partner hjälpa SOC-team att få information som de behöver för att identifiera hot och svara på lämpligt sätt. Sentinel SIEM-lösningar publiceras via Sentinels innehållshubb.

Datainsamling

Oavsett om du skapar en lösning som använder plattformskomponenter eller riktar in dig på en Sentinel SIEM-integrering är det viktigt att ha rätt data för ditt scenario.

Sentinel-anslutningsappar tar in data till Sentinel, som sedan kan analyseras i sjön med hjälp av Jupyter Notebooks och jobb, eller adresseras med Sentinel SIEM-innehåll som analysregler och jaktfrågor.

Dessa data kan innehålla följande typer:

Typ	Beskrivning
Ej bearbetade data	Stöder identifieringar och jaktprocesser. Analysera rådata där tecken på skadlig aktivitet kan finnas. Ta med obearbetade data till Microsoft Sentinel för att använda Microsoft Sentinels inbyggda jakt- och identifieringsfunktioner för att identifiera nya hot med mera. Exempel: Syslog-data, CEF-data över Syslog, program, brandvägg, autentisering eller åtkomstloggar med mera.
Säkerhetsslutsatser	Skapar aviseringssynlighet och möjlighet till korrelation. Aviseringar och identifieringar är slutsatser som redan har gjorts om hot. Att sätta identifieringar i kontext med alla aktiviteter och andra identifieringar som visas i Microsoft Sentinel-undersökningar, sparar tid för analytiker och skapar en mer fullständig bild av en incident, vilket resulterar i bättre prioritering och bättre beslut. Exempel: aviseringar mot skadlig kod, misstänkta processer, kommunikation med kända dåliga värdar, nätverkstrafik som blockerades och varför, misstänkta inloggningar, identifierade lösenordssprayattacker, identifierade nätfiskeattacker, dataexfiltreringshändelser med mera.
Referensdata	Skapar kontext med refererade miljöer, sparar undersökningsarbete och ökar effektiviteten. Exempel: CMDB:er, tillgångsdatabaser med högt värde, beroendedatabaser för program, IP-tilldelningsloggar, hotinformationssamlingar för berikning med mera.
Hotinformation	Driver hotidentifiering genom att bidra med indikatorer på kända hot. Hotinformation kan innehålla aktuella indikatorer som representerar omedelbara hot eller historiska indikatorer som bevaras för framtida förebyggande åtgärder. Historiska datauppsättningar är ofta stora och refereras bäst till ad hoc i stället för att importera dem direkt till Microsoft Sentinel.

Parserar

Parsare är KQL-funktioner som omvandlar anpassade data från produkter från tredje part till ett normaliserat ASIM-schema. Normalisering säkerställer att SOC-analytiker inte behöver lära sig mer om nya scheman och i stället skapa analysregler och jaktfrågor på det normaliserade schema som de redan är bekanta med. Granska tillgängliga ASIM-scheman som tillhandahålls av Microsoft Sentinel för att identifiera relevanta ASIM-scheman (ett eller flera) för dina data för att säkerställa enklare registrering för SOC-analytiker och för att säkerställa att det befintliga säkerhetsinnehållet som skrivits för ASIM-schemat är tillämpligt för dina produktdata. Mer information om tillgängliga ASIM-scheman finns i ASIM-scheman (Advanced Security Information Model).

Visualisering

Du kan inkludera visualiseringar som hjälper kunder att hantera och förstå dina data genom att inkludera grafiska vyer över hur väl data flödar in i Microsoft Sentinel och hur effektivt de bidrar till identifieringar.

Övervakning och identifiering

Sentinels övervaknings- och identifieringsfunktioner skapar automatiserade identifieringar som hjälper kunderna att skala sitt SOC-teams expertis.

I följande avsnitt beskrivs övervaknings- och identifieringselement som du kan inkludera i din lösning.

Security-Copilot-agenter

Security Copilot-agenter automatiserar repetitiva uppgifter och minskar manuella arbetsbelastningar. De förbättrar säkerheten och IT-driften i molnet, datasäkerhet och sekretess, identitet och nätverkssäkerhet. För Sentinel kan agenter köra frågor mot SIEM eller datasjön och anropa API:er för att utöka Microsoft Sentinel-data. De kan använda notebook-jobb för intensiv databearbetning eller analys och använda valfritt antal plugin-program.

Jupyter Notebook-jobb

Jupyter Notebook-jobb ger kraftfulla verktyg för att utföra komplexa datatransformeringar och köra maskininlärningsmodeller med hjälp av Spark-jobb i Sentinel Data Lake. De kan användas av Security Copilot-agenter för att tillhandahålla ett deterministiskt och effektivt sätt att utföra dataanalys och sammanfattning och köras kontinuerligt. Notebook-jobb kan skriva anpassade datatabeller till analysnivån och datasjön som ska användas av underordnade komponenter som agenter, arbetsböcker, jaktfrågor och andra.

Analysregler

Analysregler är avancerade identifieringar som kan skapa korrekta och meningsfulla aviseringar.

Lägg till analysregler i din lösning för att hjälpa dina kunder att dra nytta av data från systemet i Microsoft Sentinel. Till exempel kan analysregler hjälpa till att ge expertis och insikter om de aktiviteter som kan identifieras i de data som din integrering levererar.

De kan skicka aviseringar (anmärkningsvärda händelser), incidenter (undersökningar) eller utlösa automatiseringsåtgärdsplaner.

Du kan lägga till analysregler genom att inkludera dem i en lösning och via Microsoft Sentinel ThreatHunters-communityn. Bidra via communityn för att uppmuntra communityns kreativitet framför partnerbaserade data, vilket hjälper kunder med mer tillförlitliga och effektiva identifieringar.

Jaktfrågor

Med jaktfrågor kan SOC-analytiker proaktivt söka efter nya avvikelser som inte identifieras av de för närvarande schemalagda analysreglerna. Jaktfrågor vägleder SOC-analytiker till att ställa rätt frågor för att hitta problem från data som redan är tillgängliga i Microsoft Sentinel och hjälper dem att identifiera potentiella hotscenarier. Genom att inkludera jaktfrågor kan du hjälpa kunder att hitta okända hot i de data du anger.

Workbooks

Arbetsböcker tillhandahåller interaktiva rapporter och instrumentpaneler som hjälper användare att visualisera säkerhetsdata och identifiera mönster i data. Behovet av arbetsböcker beror på det specifika användningsfallet. När du utformar din lösning bör du tänka på scenarier som bäst kan förklaras visuellt, särskilt för scenarier för att spåra prestanda.

Investigation

Sentinel-undersökningsdiagrammet ger utredare relevanta data när de behöver dem, vilket ger insyn om säkerhetsincidenter och aviseringar via anslutna entiteter. Utredare kan använda undersökningsdiagrammet för att hitta relevanta eller relaterade, bidragande händelser till hotet som är under utredning.

Partner kan bidra till undersökningsdiagrammet genom att tillhandahålla:

Microsoft Sentinel-aviseringar och incidenter som skapats via analysregler i partnerlösningar.
Anpassade utforskningsfrågor för partnerbaserade data. Anpassade utforskningsfrågor ger omfattande utforskning och anslutning mellan data och insikter för säkerhetsutredare.

Svar

Arbetsböcker stöder arbetsflöden med omfattande automatisering och utför säkerhetsrelaterade uppgifter i kundmiljöer. De är viktiga för att säkerställa att SOC-analytikerna inte överbelastas av taktiska objekt och kan fokusera på den mer strategiska och djupare rotorsaken till sårbarheterna. Om till exempel en avisering med hög allvarlighetsgrad identifieras kan en spelbok automatiskt initiera en serie åtgärder, till exempel att meddela säkerhetsteamet, isolera berörda system och samla in relevanta loggar för ytterligare analys.

Till exempel kan spelböcker hjälpa dig på något av följande sätt och mycket mer:

Hjälpa kunder att konfigurera säkerhetsprinciper i partnerprodukter
Samla in extra data för att informera utredningsbeslut
Länka Microsoft Sentinel-incidenter till externa hanteringssystem
Integrera livscykelhantering för aviseringar mellan partnerlösningar

När du utformar din lösning bör du tänka på de automatiserade åtgärder som kan vidtas för att lösa incidenter som skapats av analysreglerna som definierats i din lösning.

Exempel på Sentinel SIEM-scenario

I följande avsnitt beskrivs vanliga partnerscenarier och rekommendationer för vad som ska ingå i en lösning för varje scenario.

Din produkt genererar data som är viktiga för säkerhetsundersökningar

Scenario: Din produkt genererar data som kan informera säkerhetsundersökningar.

Exempel: Produkter som tillhandahåller någon form av loggdata är brandväggar, molnprogramsäkerhetskoordinatorer, fysiska åtkomstsystem, Syslog-utdata, kommersiellt tillgängliga och företagsbyggda LOB-program, servrar, nätverksmetadata, allt som kan levereras via Syslog i Syslog- eller CEF-format eller via REST API i JSON-format.

Så här använder du dina data i Microsoft Sentinel: Importera produktens data till Microsoft Sentinel via en dataanslutning för att tillhandahålla analys, jakt, undersökningar, visualiseringar med mera.